Entradas Mensuales

Síguenos en:

Canal Oficial Telegram de elhacker.NET Grupo Facebook elhacker.NET Twitter elhacker.NET Canal Youtube elhacker.NET Comunidad Steam: Grupo elhacker.NET Mastodon
Mostrando entradas con la etiqueta autenticación. Mostrar todas las entradas
Mostrando entradas con la etiqueta autenticación. Mostrar todas las entradas

PostHeaderIcon Apache Tomcat corrige 8 fallos de seguridad que permitirían saltar la autenticación

miércoles, 21 de octubre de 2026 | Posted by el-brujo

Apache Tomcat ha corregido ocho fallos de seguridad que podrían permitir a los atacantes omitir las verificaciones de contraseñas, exponer datos entre usuarios e interrumpir conexiones. Las correcciones fueron publicadas el 20 de octubre de 2026 en las versiones 11.0.27, 10.1.61 y 9.0.123, aunque no todas las vulnerabilidades afectan a todas las versiones.

Read more »

Labels: , , , , , | 0 comments

PostHeaderIcon ICANN prueba tecnología para que las autoridades accedan a datos privados de WHOIS

martes, 20 de octubre de 2026 | Posted by el-brujo

ICANN prueba un sistema para que las fuerzas del orden soliciten datos privados de WHOIS en casos de amenazas graves. Este mecanismo busca equilibrar la privacidad del usuario con la seguridad pública mediante procesos técnicos y legales.

Read more »

Labels: , , , , , , , | 0 comments

PostHeaderIcon ¿Problemas de red tras la actualización de Windows de octubre de 2026? El culpable podría ser NTLM

| Posted by el-brujo

La actualización de Windows de octubre de 2026 bloquea el antiguo protocolo NTLMv1 por seguridad. Esto podría causar fallos de conexión en redes y VPN para empresas que aún no hayan migrado a tecnologías modernas.

Read more »

Labels: , , , , , , , | 0 comments

PostHeaderIcon MITRE ATT&CK v20 añade 9 técnicas sobre exploits de IA, bypass de MFA y evasión de CAPTCHA

viernes, 16 de octubre de 2026 | Posted by el-brujo

MITRE lanzó la versión v20 de ATT&CK el 13 de octubre, incorporando nueve técnicas empresariales. Estas describen cómo los atacantes pueden objetivar sistemas de IA, robar contraseñas específicas de aplicaciones para evadir la autenticación de múltiples factores (MFA) y saltarse las verificaciones de CAPTCHA. Además, la actualización amplía la cobertura para dispositivos móviles y sistemas de control industrial (ICS), proporcionando guías de detección para estos nuevos comportamientos.




Read more »

Labels: , , , , , | 0 comments

PostHeaderIcon Publicado PoC para vulnerabilidad crítica de bypass de autenticación en FortiClient EMS

| Posted by el-brujo

Se ha publicado una prueba de concepto (PoC) pública para la vulnerabilidad CVE-2026-35616, la cual afecta al servidor de gestión de endpoints Fortinet FortiClient EMS. Este fallo crítico permite omitir la autenticación y autorización, concediendo acceso no autenticado a endpoints de la API protegidos. Fortinet ha confirmado que esta vulnerabilidad ya ha sido explotada en entornos reales.



Read more »

Labels: , , , , , | 0 comments

PostHeaderIcon Vulnerabilidad crítica en FortiSandbox permite saltar autenticación

miércoles, 14 de octubre de 2026 | Posted by el-brujo

Fortinet ha revelado una vulnerabilidad crítica de omisión de autenticación en la interfaz gráfica de usuario de FortiSandbox. Este fallo, identificado como CVE-2026-107656 y con una puntuación CVSSv3 de 9.6, permitiría a atacantes remotos acceder a funciones protegidas sin necesidad de credenciales válidas. La vulnerabilidad afecta tanto a los dispositivos físicos como a versiones seleccionadas de FortiSandbox PaaS.



Read more »

Labels: , , , , , | 0 comments

PostHeaderIcon Microsoft: PKI, HSM y equipos de seguridad deben prepararse para la autenticación postcuántica

sábado, 10 de octubre de 2026 | Posted by el-brujo

Microsoft insta a las organizaciones a preparar sus sistemas de certificados para la autenticación post-cuántica. Advierte que es necesario realizar pruebas en la infraestructura de clave pública (PKI), los módulos de seguridad de hardware (HSM) y los dispositivos de seguridad antes de su implementación, ya que este cambio afectará a aplicaciones, dispositivos y cadenas de certificados.



Read more »

Labels: , , , , , | 0 comments

PostHeaderIcon Kit Milk Dragon AiTM usa relay OTP y keylogging para evadir MFA

lunes, 5 de octubre de 2026 | Posted by el-brujo

Milk Dragon (también conocido como NaiLong) es un kit de phishing activo desde octubre de 2025 que utiliza ofertas minoristas falsas para atraer a los usuarios hacia páginas de pago convincentes, convirtiendo gangas atractivas en intentos de fraude de pago rápido.



Read more »

Labels: , , , , , | 0 comments

PostHeaderIcon Vulnerabilidad de cookies permite saltar MFA de Entra ID y suplantar usuarios

domingo, 4 de octubre de 2026 | Posted by el-brujo

Se ha detectado un fallo en un sistema personalizado de cookies de sesión que permitía a atacantes no autenticados suplantar la identidad de empleados y administradores en una plataforma de gestión de patios. Es importante destacar que el problema no radicaba en Microsoft Entra ID, sino en una capa de sesión débil de la aplicación que aceptaba identidades falsificadas tras evadir los controles normales de inicio de sesión.



Read more »

Labels: , , , , , | 0 comments

PostHeaderIcon Explotan vulnerabilidad 0-day en Cisco SD-WAN Manager

jueves, 1 de octubre de 2026 | Posted by el-brujo

Cisco ha revelado una vulnerabilidad crítica de omisión de autenticación en Cisco Catalyst SD-WAN Manager que está siendo explotada activamente. El fallo, identificado como CVE-2026-76504, permitiría que un atacante remoto no autenticado obtenga acceso administrativo a los sistemas de gestión afectados. Esta vulnerabilidad ha recibido una puntuación CVSS de 9.8.



Read more »

Labels: , , , , , | 0 comments

PostHeaderIcon Joven de 16 años halla falla en Microsoft que expone 17,3 billones de registros

lunes, 28 de septiembre de 2026 | Posted by el-brujo

Un investigador de seguridad de 16 años, conocido como Faav, descubrió un fallo de autenticación en el servicio interno de análisis Titan de Microsoft. Esta vulnerabilidad permitía el acceso falsificado de administrador y la ejecución de consultas SQL no autorizadas sin necesidad de credenciales, lo que potencialmente exponía unos 17,3 billones de filas de bases de datos. No obstante, el investigador aclaró que el impacto real fue hipotético, basándose principalmente en metadatos y descripciones de tablas.



Read more »

Labels: , , , , , | 0 comments

PostHeaderIcon Amazon: activa las claves de acceso

sábado, 26 de septiembre de 2026 | Posted by el-brujo

Amazon implementa el soporte para claves de acceso (Passkeys) en navegadores y su app móvil para mejorar la seguridad y eliminar el uso de contraseñas.



Read more »

Labels: , , , , , | 0 comments

PostHeaderIcon Policía británica detiene a dos sospechosos de EvilTokens y Microsoft cierra 50 webs de phishing

miércoles, 23 de septiembre de 2026 | Posted by el-brujo

Microsoft y diversas entidades desmantelaron EvilTokens, un servicio de phishing impulsado por IA que comprometió 12,000 bandejas de correo y evadió la autenticación multifactor. La operación resultó en la caída de más de 50 sitios web y el arresto de dos administradores en Londres. Este caso resalta la peligrosidad de la IA para automatizar fraudes, instando a las empresas a reforzar su seguridad y verificación de transacciones.



Read more »

Labels: , , , , , , , | 0 comments

PostHeaderIcon Microsoft Entra ID bloqueará inicios de sesión por SMS en febrero de 2027

martes, 22 de septiembre de 2026 | Posted by el-brujo

Microsoft retirará el inicio de sesión mediante SMS como primer factor para los inquilinos de Microsoft Entra ID a nivel mundial. Las organizaciones deberán migrar a los usuarios afectados antes del 1 de febrero de 2027. Esta medida de seguridad impedirá que los empleados utilicen un número de teléfono registrado y un código SMS como método de acceso principal, lo que podría afectar el funcionamiento de Microsoft 365 y otros servicios protegidos por Entra si los administradores no realizan el cambio.

Read more »

Labels: , , , , , | 0 comments

PostHeaderIcon Portal de restablecimiento de Microsoft podría revelar usuarios y detalles de MFA

domingo, 20 de septiembre de 2026 | Posted by el-brujo

El portal de restablecimiento de contraseñas (SSPR) de Microsoft podría exponer detalles sensibles de cuentas a usuarios no autenticados. Esta vulnerabilidad permite revelar si existe una cuenta de Entra ID y cuáles son sus métodos registrados para restablecer la contraseña, lo que facilitaría que los atacantes perfeccionen campañas de phishing, ingeniería social o ataques de password-spraying contra redes corporativas.



Read more »

Labels: , , , , , | 0 comments

PostHeaderIcon Vulnerabilidad crítica de WSO2 permite acceso total de administrador

viernes, 18 de septiembre de 2026 | Posted by el-brujo

WSO2 ha revelado una vulnerabilidad crítica de omisión de autenticación (CVE-2026-5430) que podría permitir a atacantes remotos tomar el control de cuentas, incluyendo las de administrador, en sus productos de gestión de API. Este fallo tiene una puntuación CVSS de 10.0 y es especialmente peligroso ya que no requiere autenticación ni interacción del usuario para ser explotado.



Read more »

Labels: , , , , , | 0 comments

PostHeaderIcon Cisco alerta sobre un zero-day de severidad máxima en ISE aprovechado en ataques

jueves, 17 de septiembre de 2026 | Posted by el-brujo

Cisco ha lanzado actualizaciones urgentes para corregir una vulnerabilidad de severidad máxima (CVE-2026-76460) en Cisco ISE que está siendo explotada activamente. El fallo permite a atacantes remotos evadir la autenticación y obtener acceso no autorizado al sistema a través de una API. Debido a que no existen soluciones temporales, la empresa recomienda encarecidamente actualizar el software a las versiones corregidas de inmediato.



Read more »

Labels: , , , , , | 0 comments

PostHeaderIcon El gobierno británico comienza a eliminar las contraseñas para 23 millones de usuarios

martes, 15 de septiembre de 2026 | Posted by el-brujo

El gobierno británico está implementando passkeys para más de 23 millones de usuarios de GOV.UK One Login, permitiendo el acceso mediante biometría o PIN en lugar de contraseñas. Esta medida busca mejorar la seguridad contra el phishing, agilizar el inicio de sesión y reducir los costos estatales en el envío de mensajes SMS de autenticación. Aunque la opción sigue siendo voluntaria, el sistema ya muestra una adopción creciente y una mayor eficiencia operativa.

Read more »

Labels: , , , , , , , | 0 comments

PostHeaderIcon Ataques de phishing basados en passkeys provocan el robo de datos de Microsoft 365

domingo, 13 de septiembre de 2026 | Posted by el-brujo

Microsoft advierte que grupos de extorsión (como ShinyHunters y Helix) están usando ingeniería social y sitios de phishing para robar cuentas corporativas de Microsoft 365. Los atacantes suplantan al soporte técnico para engañar a los empleados y obtener credenciales o tokens de acceso mediante falsas actualizaciones de passkeys y MFA. Una vez dentro, realizan reconocimientos automatizados para robar datos sensibles de SharePoint, OneDrive y Exchange, evitando detecciones mediante descargas lentas y progresivas.



Read more »

Labels: , , , , , | 0 comments

PostHeaderIcon Casi el 10% de los gateways de LiteLLM expuestos aceptaban la clave de administrador de ejemplo sk-1234

viernes, 11 de septiembre de 2026 | Posted by el-brujo

Wiz Research descubrió que muchos servidores de LiteLLM mantienen la clave de administrador predeterminada (sk-1234), permitiendo que atacantes roben claves de API y credenciales de la nube. También se identificaron fallos críticos que permiten la ejecución de código remoto y el bypass de autenticación en versiones antiguas. Se recomienda actualizar a la versión 1.84.0 o superior y cambiar inmediatamente la clave maestra por una aleatoria.

Read more »

Labels: , , , , , | 0 comments